Артём Савельев 
Ошибка 403 Forbidden: почему доступ запрещён и как это исправить
403 — единственная популярная ошибка, в которой сервер работает идеально: он вас увидел, понял запрос и осознанно отказал. Вопрос всегда один — кому и почему запрещено: конкретно вам, вашей стране, вашему IP или вообще всем. Разбираем, как это выяснить за пару минут и что чинить владельцу, у которого 403 получают не те, кому она предназначалась.
Что означает 403 и чем отличается от соседей
Код 403 значит: «запрос понят, но выполнять его я не буду — прав нет». В отличие от 401, где сервер просит представиться (и после логина пустит), 403 — окончательный отказ: хоть с паролем, хоть без. И в отличие от 404, сервер не отрицает существование страницы — он просто не пускает. Отказывать может любой слой: сам сайт (нет прав на файл), веб-сервер (правило запрета в конфиге), WAF или анти-бот система, CDN с гео-фильтром. Поэтому диагностика 403 — это поиск того самого слоя.
Если вы посетитель: выясняем, «кому» запрещено
| Проверка | Если помогло — причина была в этом |
|---|---|
| Выключить VPN (или включить, если был выключен) | Гео-фильтр: сайт не пускает «не ту» страну, либо IP вашего VPN в чёрных списках |
| Открыть через мобильный интернет | Забанен IP вашей сети — например, за чужую активность с общего адреса провайдера |
| Режим инкогнито / очистить куки для сайта | Сайт забанил вашу сессию или аккаунт, а не адрес |
| Открыть главную вместо конкретной страницы | Запрет точечный: закрыт раздел или файл, а не сайт целиком |
| Подождать 10–15 минут | Сработал временный анти-бот лимит: слишком много запросов с вашего адреса |
Если 403 у всех, отовсюду и на всём сайте — это уже не «вас не пускают», это авария конфигурации на стороне сайта, и остаётся только ждать (или сообщить владельцу — он мог ещё не заметить).
Если вы владелец: четыре типовых источника 403
Права и файлы. Классика после переноса сайта: файлы скопированы с неправильными правами, и веб-сервер не может их прочитать. Сюда же — запрос каталога, в котором нет index-файла, при выключенном листинге: nginx честно отвечает 403. Проверяется быстро: в error-логе будет «Permission denied» или «directory index forbidden».
Правила в конфиге. Deny-директивы, забытые с прошлых времён: закрыли раздел «на время», ограничили доступ по IP офиса, а офис сменил адрес. Ищите по конфигу deny/allow (nginx) и правилам .htaccess (Apache) — там же прячутся и запреты, унаследованные от предыдущего подрядчика.
WAF и анти-бот защита. Самый коварный источник: правила защиты режут по эвристикам — и однажды под них попадают легитимные посетители, платёжные вебхуки, поисковые роботы или ваш собственный мониторинг. Сценарий мы подробно разбирали в статье про WAF, блокирующий мониторинг: сайт «работает у всех», кроме тех, кто важен.
Гео-фильтр. Ограничение «только Россия» на уровне CDN или файрвола судит по несовершенным геобазам: часть реальных российских посетителей получает 403, потому что их адреса числятся «не той страной» — механику ошибок мы разбирали в статье про местоположение по IP.
Отдельная категория пострадавших от чрезмерной защиты — поисковые роботы. Если Яндекс или Google стабильно получают 403, страницы начинают выпадать из индекса, хотя у живых посетителей всё работает. Симптом ровно обратный привычному: люди довольны, трафик из поиска тает. Проверяйте доступность сайта не только «глазами», но и автоматическими запросами из разных сетей.
Диагностика владельца: три вопроса к логам
Первый вопрос — кто получает 403: выгрузите из access-лога строки с 403 и посмотрите на IP и User-Agent. Если там вперемешку обычные браузеры — беда с правами или конфигом; если преимущественно боты и зарубежные адреса — работает защита, и вопрос лишь в том, нет ли среди «ботов» полезных. Второй вопрос — что запрещается: один путь (забытое правило на раздел) или всё подряд (правило уровня сервера). Третий — с каких пор: сопоставьте первую волну 403 с изменениями — обновлением плагина безопасности, сменой тарифа CDN, переносом сайта. На пересечении трёх ответов причина обычно очевидна.
Определяем слой отказа за минуту
Какой именно слой отдаёт 403 — сам сервер или защита перед ним, — расскажут заголовки ответа:
curl -I https://example.ru/zakrytaya-stranica # Смотрим в ответе: # Server: nginx / apache -> отказывает ваш веб-сервер (права, deny-правила) # Server: cloudflare, заголовки cf-* -> отказывает CDN/WAF # Свой HTML с капчей -> анти-бот система # Тот же запрос "от браузера" — если проходит, режут по User-Agent: curl -I -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64)" https://example.ru/zakrytaya-stranica
Пара этих запросов сужает поиск радикально: разница в ответе с «голым» curl и с браузерным User-Agent означает, что фильтрация идёт по признакам клиента, а не по IP или пути. Дальше уже понятно, в каком конфиге искать правило.
Пруфен выполняет HTTP-проверки из 13 точек в разных городах и сетях — выборочные 403 (по гео, по IP-диапазонам) видны как частичная недоступность: где-то проверки зелёные, где-то ловят отказ. Чтобы ваша же защита не банила проверки, адреса точек опубликованы на странице серверов мониторинга — внесите их в белый список WAF.
Частые вопросы
403 — это блокировка Роскомнадзора? Нет, блокировки на уровне операторов выглядят иначе (обычно недоступность или заглушка оператора). 403 отдаёт сам сайт или его защита. Проверить, есть ли домен в реестре, можно отдельно — у нас для этого есть автоматическая проверка РКН.
Почему 403 появляется только из России (или только из-за рубежа)? Гео-фильтр. Сайт сознательно или по ошибке режет трафик по странам. Если это ваш сайт и так не задумано — ищите правило в CDN или файрволе и помните про неточность геобаз.
CloudFlare показывает «Error 1020 Access Denied» — это то же самое? По смыслу да: это фирменная страница отказа файрвола Cloudflare. Причина — правило в разделе WAF/Firewall Rules вашей учётки Cloudflare, лечится корректировкой правила.
Google Search Console пишет «403 при сканировании». Насколько это серьёзно? Максимально: робот не видит страницы, и они будут выпадать из индекса. Найдите, какой слой защиты режет роботов (WAF, анти-бот, rate limit), и добавьте исключения — официальные диапазоны поисковиков публикуются.